⚡ Мы впервые расследовали атаку, которую целиком провели ИИ-агенты Прошло всего несколько месяцев с момента, когда агенты OpenAI нашли уязвимость в тестовой среде, выбрались за ее пределы и взломали серверы Hugging Face. Сегодня ИИ-агенты атакуют компании по всему миру. Всем казалось, что это отдаленные новости, которые не касаются будней и ИБ-рутины. А у нас есть свидетельство реальной автономной атаки, которая случилась в России. Наша команда PT ESC IR расследовала взлом российской компании, в котором от первоначального проникновения до кражи конфиденциальных данных из критически важных систем прошло всего около трех часов. И, судя по всему, все это время за клавиатурой не было человека. Что произошло 😳 Атака развивалась очень быстро и довольно шумно. За несколько часов злоумышленники получили доступ более чем к десяти узлам корпоративной сети. На серверах с интервалом буквально в секунды появлялись и запускались десятки скриптов, инструменты создавались и переделывались прямо по ходу атаки, а для работы устанавливались нужные библиотеки и программы. При этом довольно сложные техники соседствовали с ошибками, которые скорее ожидаешь от новичка: неправильный синтаксис команд, неверные названия компонентов. После неудач почти сразу следовало исправление или попытка решить задачу другим способом. А некоторые действия вообще выглядели странно с точки зрения человеческой логики. Почему мы думаем, что это ИИ 🤖 По словам руководителя PT ESC IR Дениса Гойденко, на использование ИИ указывают сразу несколько признаков. Во-первых, скорость и количество действий за короткое время: разные способы продвижения по инфраструктуре Linux и Windows агенты пробовали одновременно. Во-вторых, характер действий с ошибками, быстрыми исправлениями и сменой подходов. Да и первоначальный доступ злоумышленники получили через ошибку в конфигурации внешнего сервиса, которую довольно сложно обнаружить вручную. Конечно, использование ИИ в кибератаках — уже не новость. Мы и раньше видели, как злоумышленники доверяют ему отдельные задачи. Но успешную атаку, которую ИИ-агенты, предположительно, провели от начала до конца, встретили впервые. Что это меняет 🧐 1️⃣ У защитников остается все меньше времени. Если раньше скорость атаки во многом зависела от человека, то теперь ИИ-агенты могут выполнять множество задач за считаные минуты. А значит, и обнаруживать, и останавливать такие атаки нужно намного быстрее. 2️⃣ Становится сложнее понять, кто атакует. Обычно у группировок есть свой почерк: любимые инструменты, техники и последовательность действий. А здесь инструменты создаются и меняются прямо во время взлома, да и сама логика действий не всегда похожа на привычные сценарии. Нужны новые подходы к защите 🫤 В PT ESC IR мы давно занимаемся автоматизацией расследования и реагирования на инциденты. Но теперь меняется и сам характер угроз. «Если атаки начинают развиваться без постоянного участия человека, прежнего уровня автоматизации уже недостаточно», — объясняет Денис Гойденко. Поэтому защитникам нужны инструменты, которые смогут с сопоставимой скоростью обнаруживать подозрительную активность, разбираться в происходящем и помогать останавливать атаки. Именно над такими возможностями мы сейчас и работаем. @Positive_Technologies